Poco después de la 1:31 UTC del 31 de julio, alguien vació cerca de 500 monederos de bitcoin creados en dispositivos Coldcard Mk3. En menos de 25 minutos salieron 594 BTC —unos 38 millones de dólares— de direcciones que, en muchos casos, llevaban años sin moverse.
Coinkite, el fabricante de Coldcard, apunta a un fallo en su propio firmware. Desde la versión 4.0.1, lanzada en marzo de 2021, hasta la 5.0.3 —la última que recibió el Mk3—, el dispositivo podía saltarse su generador de números aleatorios por hardware y recurrir a datos predecibles: el número de serie del chip y el reloj interno. Coinkite no ha confirmado oficialmente que esa sea la causa del robo, pero investigadores independientes de blockchain ya relacionan el vaciado con esa debilidad en la entropía.
Solo están expuestos los usuarios de Mk3 que nunca activaron una frase de contraseña BIP-39, esa "palabra 25" adicional que convierte una clave predecible en algo imposible de adivinar. Los modelos más recientes —Mk4, Q y Mk5— no se ven afectados.
La recomendación de Coinkite combina urgencia y cautela: añadir cuanto antes una frase de contraseña fuerte y única, mover los fondos a una semilla nueva generada en un modelo no afectado y, para usuarios avanzados, regenerar la semilla con más de 99 tiradas de dado en el firmware 4.1.9. "Precipitar una migración puede crear un riesgo más inmediato que el problema que se intenta resolver", advirtió la empresa. Lo incómodo del caso es que los monederos de hardware se consideran el estándar más seguro precisamente porque la clave nunca sale del chip; aquí, un error de firmware socavó esa promesa durante cinco años sin que nadie lo notara.
